‘Trojan.Win32.FakeLPK.g’, PC 디렉터리에 악성SW 투입해 정보 빼내
‘Trojan.Win32.BHO.gdz’, 5주 연속 중국에서 활개
정보보안업체, 5월 넷째 주 피싱 사이트 1만800여개 탐지...4만명 피해

[보안뉴스 온기홍= 중국 베이징] 중국에서 지난 주 PC 시스템에 원격 주입된 다음 디렉터리 아래 악성SW를 넣어 컴퓨터를 감염시켜서 정보를 몰래 빼가는 ‘FakeLPK’란 이름의 트로이목마류 바이러스가 활개를 친 것으로 나타났다. 지난 주 중국 정보보안업체가 중국에서 찾아낸 피싱 사이트는 1만800여개에 달했으며, 중국 내 누리꾼 4만 명이 피싱 사이트의 공격을 받은 것으로 드러났다.

中 5월 넷째 주 ‘Trojan.Win32.FakeLPK.g’에 PC 약 5,000대 감염 피해
중국 정보보안회사인 루이싱정보기술은 지난 한 주(5월 23일~29일) ‘클라우드 보안 시스템’을 써서 모니터링하고 PC 사용자들로부터 신고를 받은 것을 종합한 결과, 이 기간 정보보안 업계와 누리꾼의 주목을 받은 대표적인 바이러스는 ‘Trojan.Win32.FakeLPK.g’라고 밝혔다.


▲ 5월 23일~29일 중국내 주요 PC 바이러스(출처:중국 루이싱정보기술)

이 트로이목마는 컴퓨터의 ‘System32’ 시스템 디렉터리 아래 악성SW를 집어넣고 레지스트리 수정을 통해 시스템 서비스에 등록한다. 또 시스템 실행 프로그램 ‘svchost.exe’를 원격 주입하며, 사용자 몰래 ‘cmd’를 전용해 자신을 삭제한다. 이어 시스템 핵심 디렉터리 아래 악성 S/W를 투입해 디스크의 ‘EXE’ 파일을 감염시키고, 루트 디렉터리 아래 위장된 ‘lpk’의 악성 S/W를 넣고 웹페이지를 방문한다. 몰래 악성SW도 PC에 내려 받는다. 이로써 PC 사용자는 정보 도난과 금전 손실 위험에 놓일 수 있다.

지난 5월 20일까지 중국에서 4,908대의 PC가 ‘Trojan.Win32.FakeLPK.g’에 감염된 것으로 확인됐다고 이 회사는 밝혔다. 이 ‘Trojan.Win32.FakeLPK.g’에 대한 경계 등급은 별 다섯 개 가운데 네 개다.

지난 주 날짜별로 중국내 PC 사용자들을 공격한 대표적인 바이러스들을 보면, 5월 23일에는 ‘Backdoor.Win32.Rbot.gcy’가 꼽혔다. 이 회사가 ‘클라우드 보안’ 시스템을 써서 연인원 2만5,450명으로부터 신고를 받았다. 이 백도어(backdoor)류 바이러스는 PC에 설치된 유명 안티바이러스 프로그램을 찾아내고 실행을 중지시킨다.

동시에 레지스트리를 수정해 컴퓨터 부팅과 함께 자동으로 활동을 개시한다. 또한, 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 웹페이지의 트래픽을 소모시키며, 네트워크 자원을 대량 점용한다고 이 회사는 밝혔다. 이 때문에 인터넷이 느려지는 현상이 일어난다.

이 백도어 ‘Backdoor.Win32.Rbot.gcy’는 5월 셋째 주를 통틀어 중국 보안업계와 누리꾼이 주목한 대표적인 바이러스에 꼽힌 바 있다. 이어 지난 24일 중국을 휩쓴 ‘Trojan.Win32.VBCode.fio’(연인원 2만4,745명 신고), 25일 널리 퍼진 ‘Trojan.Win32.BHO.gdz’(연 2만451명 신고), 26일 활개를 친 ‘Trojan.Win32.BHO.gdz’(연 2만4,781명 신고), 주말 휴일인 든 27일~29일 사흘 간 크게 번진 ‘Worm.Win32.Autorun.tpk’(연 8만2,145명 신고)도 23일의 ‘Backdoor.Win32.Rbot.gcy’와 비슷한 악성 활동을 한 것으로 드러났다.

특히 ‘Trojan.Win32.BHO.gdz’는 4월 25일~26일, 5월 4일~5일, 10일, 12일, 17일, 18일에 이어 25일~26일에도 중국에 널리 퍼져 PC 사용자들을 공격한 대표적인 바이러스로 지목됐다. 또한 24일 중국을 휩쓴 ‘Trojan.Win32.VBCode.fio’는 5월 19일에 이어 2주 연속 중국에서 널리 퍼졌다.

中 5월 넷째 주 피싱 사이트 1만800여개 탐지...4만명 공격 받아
루이싱은 지난 주 보안 시스템을 써서 중국에서 1만815개의 피싱 사이트들을 탐지했다고 밝혔다. 한 주 전보다 2,515개 증가했다. 피싱 사이트의 공격을 받은 중국 누리꾼 수는 한 주 전과 비슷한 규모인 4만명에 달했다.

날짜 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 5월 23일에는 연인원 6,112명, 24일 4,500명, 25일 3,564명, 26일 4,436명, 주말 휴일이 들었던 27일~29일 사흘 동안에는 연인원 1만4,896명에 달했다. 루이싱이 탐지한 피싱 웹주소는 5월 23일 1,828개, 24일 1,461개, 25일 1,155개, 26일 1,328개, 27일~29일 사흘 간 4,458개였다.

또한 지난 주 중국에서는 온라인 구매(쇼핑)으로 위장한 http://pingguo6.s.a020.net/, 어도비(Adobe) ID메일을 가장한 http://recipewall.net/wp-includes/js/tinymce/utils/, 가짜 지메일(Gmail) 전자우편류인 http://migarantia.com.py/kkkkl/googledrivee/nD/ 따위의 피싱 사이트들이 누리꾼들의 전자우편 계정·비밀번호를 훔쳐서 개인 정보와 금전 편취를 시도한 것으로 드러났다.


▲ 5월 23일~29일 중국내 주요 피싱 사이트(출처:중국 루이싱정보기술)

날짜 별로 중국에서 많은 누리꾼을 공격한 피싱 사이트 ‘톱5’를 보면, 먼저 5월 23일에는 △유명 온라인 금융결제 사이트 페이팔(Paypal) 전자우편으로 위장한 www.perlabsshipping.com/update-your-account-information (카드 번호와 비밀번호 훔침) △중국건설은행을 사칭한 http://wap.ccbonk.cc/ (카드 번호와 비밀번호 편취) △중국이동통신의 고객 대표 전화번호와 도메인으로 위장한 http://l0086mfz.com/ (적립포인트의 현금 교환을 미끼로 카드 번호와 비밀번호 빼냄) △페이스북(Facebook) 메일을 가장한 http://pages554645.usite.pro/invalid.html (카드 번호와 비밀번호 훔침) △가짜 Gmail 전자우편류인 www.godavarikhanionline.com/docaccess/source/ (메일 계정과 비밀번호 편취) 순으로 지목됐다.

이어 24일 누리꾼을 많이 공격한 피싱 사이트 톱5는 △유명 전자상거래 사이트 이베이(ebay) 메일을 가장한 http://pousadarealsantos.com.br/singin-e3Bay-co-uk-ws-ISAPI3dllSignInr9b/ (카드 번호와 비밀번호 훔침) △중국건설은행을 사칭한 http://wap.cczrv.com/ △중국이동통신을 가장한 http://10086xzsc.com/ △Paypal 메일로 속인 www.hempelgalleries.com/css/lib/c7017fc2bfcd8657c8890d8a8c9ce2d6/ △Gmail 전자우편으로 위장한 www.casarica.com.br/dic/spec/ 등 차례였다.

지난 25일에는 △어도비(Adobe) 메일로 위장한 http://dezcoberturas.com.br/s/secure/ (메일 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://wap.ccbaop.cc/ △텅쉰의 온라인게임으로 위장한 www.cqevi.net.cn:8092/zhuanyeshezhi/daba/ (계정과 비밀번호 빼냄) △애플(Apple) 메일로 속인 www.bravax.co.rs/it/cgi-bin/WebObjects/ (메일 계정과 비밀번호 훔침) △가짜 Gmail 전자우편류 www.fyccenter.com/drive/auth/view/share/#eula 순으로 피싱 사이트 톱5에 들었다.

26일 누리꾼을 공격한 대표적인 피싱 사이트들은 △가짜 Adobe ID메일류 www.mangomantours.com/wp-includes/pomo/ △중국건설은행을 사칭한 http://wap.ccbiao.cc/ △중국 최대 전자상거래 회사 알리바바(Alibaba) 메일로 위장한 www.assteelstore.com/images/log/login.alibaba.htm (메일 계정과 비밀번호 훔침) △ebay 메일로 속인 http://pp42.opole.pl/6T47EGRYUBYGTW47ERU/ △Gmail 전자우편을 가장한 http://jandaluz.com.br/ziiz/Ed/Ed/ 등 차례로 꼽혔다.

주말 휴일이 들었던 27일~29일 사흘 동안에는 △Paypal 전자우편을 가장한 http://internationalmaindes.com/1037a943e55ac9eec836e470638a457a/ △중국건설은행을 사칭한 http://wap.ccbvok.cc/ △중국이동통신을 사칭한 http://l0086vdw.com/ △윈도우 엑셀(Windows Excel) 메일로 위장한 http://lookuppet.net/bmg/others/ks3ezavtgyqih8zhttucvnp7.php (카드 번호와 비밀번호 훔침) △가짜 Gmail전자우편류 www.cortglasscoberturas.com.br/pdf/ 순으로 피싱 사이트 톱5에 지목됐다.

한편, 루이싱정보기술의 보안 시스템이 탐지한 중국 내 트로이목마 투입 웹주소는 5월 23일 2,567개, 24일 2,337개, 25일 1,906개, 26일 2,514개, 주말 휴일이 포함된 27일~29일에는 5,117개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 5월 23일 연인원 4,675명, 24일 4,547명, 25일 3,911명, 26일 4,023명, 27일~29일 사흘 간 연인원 1만3,142명에 달한 것으로 집계됐다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>